¿Cómo puedo asociar una zona alojada privada de Route 53 a una VPC de otra cuenta?

Descripción breve

Para asociar una zona alojada privada de Route 53 a una Amazon VPC de otra cuenta, autoriza la asociación desde la cuenta propietaria de la zona alojada. A continuación, crea la asociación desde la cuenta propietaria de la Amazon VPC.

Resolución

Nota: Si se muestran errores al ejecutar comandos de la Interfaz de la línea de comandos de AWS (AWS CLI), consulta Solución de problemas de AWS CLI. Además, asegúrate de utilizar la versión más reciente de la AWS CLI.

Requisitos previos:

• Acceso a ambas cuentas.
• Una instancia de Amazon Elastic Compute Cloud (Amazon EC2) en cada cuenta o la AWS CLI en tu máquina local con credenciales para ambas cuentas.
• Permisos de AWS Identity and Access Management (IAM) para administrar Route 53 en la cuenta A y asociar las VPC con las zonas alojadas en la cuenta B.

La siguiente resolución usa una instancia de EC2 en la cuenta A y otra en la cuenta B. La cuenta A es la cuenta que tiene la zona alojada y la cuenta B es la cuenta que tiene la VPC.

Autorización de la asociación en la cuenta A

Sigue estos pasos:

1. Conéctate a la instancia o configura las credenciales de la AWS CLI para la cuenta A.

2. Configura la AWS CLI para usar las credenciales de un usuario de IAM que tenga acceso a Route 53.

3. En esta instancia, ejecuta el comando list-hosted-zones para ver una lista de tus zonas alojadas:

   aws route53 list-hosted-zones

   Nota: En la salida del comando, anota el ID de la zona alojada que deseas asociar.

4. En la instancia, ejecuta el comando list-vpc-association-authorizations para comprobar las autorizaciones de asociación de Amazon VPC existentes:

   aws route53 list-vpc-association-authorizations --hosted-zone-id hosted-zone-id

   Nota: El resultado del comando muestra las VPC de otras cuentas que puedes asociar a tu zona alojada privada. Las cuentas que aparecen en la lista son las cuentas para las que has enviado solicitudes de autorización de CreateVPCAssociationAuthorization.

5. Si la VPC que está en la cuenta B no aparece en la lista, ejecuta el comando create-vpc-association-authorization para crear una autorización en la cuenta A:

   aws route53 create-vpc-association-authorization --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Nota: Sustituye hosted-zone-id por el ID de la zona alojada, region por la región de AWS en la que se encuentra tu VPC y VPC Id por el ID de tu VPC. Si estás en una región diferente a us-east-1 o tus credenciales están asociadas a una región que no es us-east-1, incluye --region us-east-1.

Creación de la asociación en la cuenta B

Sigue estos pasos:

1. Conéctate a la instancia o configura las credenciales de la AWS CLI para la cuenta B.

2. Para crear la asociación, ejecuta el comando associate-vpc-with-hosted-zone:

   aws route53 associate-vpc-with-hosted-zone --hosted-zone-id hosted-zone-id --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

   Nota: Para ejecutar el comando anterior, utiliza un usuario o rol de IAM que tenga los permisos de API AssociateVPCWithHostedZone y DescribeVpcs. Además, sustituye hosted-zone-id por el ID de la zona alojada, region por la región de AWS en la que se encuentra tu VPC y VPC Id por el ID de tu VPC. Si estás en una región diferente a us-east-1 o tus credenciales están asociadas a una región que no es us-east-1, incluye --region us-east-1. 

El estado de la asociación puede mostrarse como PENDIENTE porque la VPC no puede usar la zona alojada privada para realizar la resolución de DNS. La asociación puede tardar unos minutos en completarse y los cambios en propagarse.

Eliminación de la autorización de asociación

Tras crear la asociación, se recomienda eliminar la autorización de asociación para no volver a crear la misma asociación.

Para eliminar la autorización, vuelve a conectarte a la instancia de la cuenta A y, a continuación, ejecuta el comando delete-vpc-association-authorization:

aws route53 delete-vpc-association-authorization --hosted-zone-id hosted-zone-id  --vpc VPCRegion=region,VPCId=vpc-id --region us-east-1

Nota: Sustituye hosted-zone-id por el ID de la zona alojada, region por la región de AWS en la que se encuentra tu VPC y VPC Id por el ID de tu VPC. Si estás en una región diferente a us-east-1 o tus credenciales están asociadas a una región que no es us-east-1, incluye --region us-east-1.

Verificación de la asociación

Para confirmar que la VPC está asociada a la zona alojada privada, sigue estos pasos:

1. Abre la consola de Route 53.
2. Selecciona el dominio de tu zona alojada privada.
3. En la sección Detalles de la zona alojada, comprueba que aparezca el ID de la VPC de la cuenta B.

Tras completar la asociación, las instancias de la VPC de la cuenta B pueden resolver los registros de la zona alojada privada de la cuenta A.

Información relacionada

Uso de zonas alojadas privadas

Uso de políticas basadas en la identidad (políticas de IAM) para Amazon Route 53